Apple、AMD 和高通 GPU 曝安全漏洞：或泄露本地 AI 对话与权重

过去几十年里，芯片巨头们为了防范 CPU 内存泄漏，把漏洞修了一轮又一轮。在 CPU 的世界里，哪怕泄露一个比特都是大事故。

但 GPU 完全是另一套逻辑。它生来就是为了追求纯粹的图形渲染速度和海量并行计算，从来没把数据隐私和隔离防线摆在第一位。现在大语言模型全面普及，这颗定时炸弹终于被引爆了。

网络安全机构 Trail of Bits 近期披露了一个名为 LeftoverLocals 的严重硬件漏洞。攻击者只要在受害者的设备上拥有基础访问权限，就能利用不到 10 行代码，直接从 GPU 本地内存中捞走大量未清理的敏感数据。

不到十行代码，扒光本地大模型

正常情况下，现代操作系统的多任务隔离机制应该保证各程序互不干扰。但 LeftoverLocals 打破了这道墙。

在日常运行大语言模型时，GPU 会通过计算核心和本地显存快速吞吐用户的提问内容、AI 的生成回复，甚至是决定模型推理逻辑的核心权重。一旦存在漏洞，恶意程序就能通过 OpenCL、Vulkan 或 Metal 等常见框架，在无需提权的情况下监听 GPU 计算，窃取同一张显卡上其他应用留下的显存残渣。

研究团队测试发现，攻击者每次查询能窃取 5MB 到 180MB 的数据。在搭载 AMD Radeon RX 7900 XT 显卡的设备上运行 7B 规模的大语言模型时，恶意程序单次就能扒出多达 181MB 的数据，足以完整还原出用户刚才与 AI 聊了什么。

Trail of Bits 去年夏天测试了 7 家芯片厂商的 11 款芯片，并在 9 月联合 US-CERT 协调中心和 Khronos Group 展开了跨行业协同披露。最终确认 Apple、AMD 和 Qualcomm 的 GPU 均受波及，而测试中的 Nvidia、Intel 和 Arm 芯片暂未发现该漏洞。

修复动作迟缓，数以亿计的旧设备仍在裸奔

受影响的设备规模极其庞大，从 iPhone 12 Pro、搭载 M2 的 MacBook Air，到大量主流 AMD 独立显卡和高通移动平台都在其列。

但芯片厂商的应对节奏并不一致。Apple 官方表示已在 2023 年底推出的 M3 和 A17 芯片中修复了该缺陷。然而在今年 1 月 10 日的复测中，研究人员发现 M2 MacBook Air 依然容易受到攻击，只有搭载 A12 的第三代 iPad Air 似乎打了补丁，这意味着市面上大量在售和在用的旧款 Mac 与 iPhone 依旧处于风险之中。

Qualcomm 表示正在向客户推送固件更新，并建议终端用户及时安装设备制造商提供的补丁。AMD 则发布了安全通告，表示针对该漏洞的防御手段属于可选缓解方案，预计要到 3 月才会释出。此外，Google 也证实知晓该漏洞，并已为搭载 AMD 和高通芯片的 ChromeOS 设备推送了修复程序。

为什么重要

我们认为，LeftoverLocals 的爆发给当下狂热的本地 AI 叙事泼了一盆冷水。各家硬件厂商都在大力推销 AI PC 和端侧大模型，宣称本地运行比云端更保护隐私。但现实看起来很讽刺，你以为把隐私留在了自己的显卡里，结果显卡底层的隔离机制比 CPU 脆弱得多。

普通用户现在不必过度恐慌，因为黑客利用该漏洞的前提是已经在你的系统里拿到了常驻代码运行权限。但如果你经常在本地部署开源大模型处理商业机密、代码或私人账本，而且用的是 M2 芯片的 Mac 或是 AMD 显卡，现在就得格外小心流氓软件和共享服务器的多租户环境。

对整个半导体行业来说，GPU 的设计思路必须被迫发生根本性重构。过去显卡厂商为了极致算力可以牺牲数据清理开销，但在大模型时代，显存里跑的全是高价值文本与敏感向量。如果厂商为了安全在每次计算完成后强行擦除显存，很可能会带来性能折损；如果厂商像 AMD 那样只提供可选补丁，又把安全包袱扔给了开发者和终端用户。

在芯片底层架构真正实现硬件级安全隔离之前，端侧 AI 所谓的绝对隐私，看起来依然存在不小的漏洞。